加密货币安全公司 SlowMist 发布紧急警告

近日，知名加密安全机构 SlowMist 发出重大风险提示，揭露一种针对 MetaMask 钱包用户的新型网络钓鱼攻击。该骗局利用仿冒的双重认证界面，诱导用户在看似合法的操作中输入钱包恢复助记词，从而导致资产被盗。

攻击手法剖析

据 SlowMist 首席安全负责人 “23pds” 透露，攻击者使用与真实域名高度相似的伪造地址，如“mertamask”等，构建视觉上几乎一致的虚假登录页面。这些页面嵌入倒计时器和系统警告提示，营造紧迫感以降低用户警惕性。最终阶段则以完成身份验证为由，诱导用户输入私密助记词，实现账户控制权的非法转移。

2025年网络钓鱼犯罪趋势

尽管2025年全年因网络钓鱼造成的加密货币损失已降至约8385万美元，较2024年下降83%，受害者人数也减少至约10.6万人，降幅达68%，但攻击复杂度显著上升。数据显示，攻击行为与市场周期高度相关——在以太坊表现强劲的第三季度，损失高达3100万美元，其中8月至9月占比接近全年总损失的29%。

这反映出“概率型欺诈”模式正在加剧：攻击者倾向于在交易活跃期集中出击，借助市场热度实施精准诱骗。

主要攻击向量与演变

单次最大损失事件发生在9月，由恶意钱包签名伪造引发，造成约650万美元资产流失。许可签名机制如“Permit”和“Permit2”仍是高危漏洞来源，在百万美元级损失事件中占比达38%。

随着以太坊“Pectra”升级落地，基于EIP-7702的新式恶意签名技术开始泛滥。该技术可伪装成用户授权，同时执行多重非法指令，仅在8月份就导致254万美元损失。

2025年，损失超百万美元的重大事件从上年的30起缩减至11起，但小规模、广覆盖的批量攻击成为主流。平均单笔损失降至790美元，多数钱包损失不超过2000美元，表明攻击目标正从“巨鲸”转向普通零售用户。

行业协作防御

当前，一种名为“排水器”的恶意工具在多个公链间迅速传播，其本质是结合社会工程学的心理操控，而非单纯的技术漏洞利用。

为应对这一挑战，MetaMask、Phantom、WalletConnect、Backpack 等主流钱包服务已联合成立“全球网络钓鱼防御网络”（SEAL）。该系统支持用户实时举报可疑网站，经自动化验证后，立即同步至合作平台，实现跨钱包的快速拦截。

MetaMask 安全研究员 Ohm Shah 表示：“对抗‘排水器’是一场持久战。通过与 SEAL 合作，我们能更快响应威胁，提升整体生态安全性。” 其核心工具“已验证钓鱼报告系统”有效过滤虚假举报，确保信息准确高效传递。

新兴威胁：深度伪造

除了技术类攻击，深度伪造视频诈骗也浮出水面。例如，2024年4月，某项目联合创始人 Kenny Li 在一次 Zoom 会议中遭遇真人冒充，对方诱导其安装恶意脚本。事件被归因于与朝鲜相关的黑客组织 Lazarus，凸显了身份伪造带来的新型风险。

整体安全形势

2025年12月，加密领域因黑客攻击和安全事件造成的总损失为7600万美元，环比11月的1.942亿美元大幅下降60%。然而，专家指出，地址篡改、浏览器钱包漏洞等长期隐患仍在持续演进，防范难度不减。

常见问题解答

问：MetaMask 双重认证钓鱼攻击具体如何运作？
答：攻击者伪造认证页面，诱导用户输入助记词，伪装成正常流程完成身份验证。

问：为什么绝对不应该输入恢复助记词？
答：助记词相当于钱包的唯一密钥，一旦泄露将导致资产永久丢失。

问：报道称2025年加密货币钓鱼损失下降了，这是否意味着更安全了？
答：损失下降反映防御能力提升，但攻击手法更隐蔽，仍需保持高度警惕。

问：MetaMask 和其他钱包服务商如何应对？
答：通过加入SEAL联盟，实现钓鱼网站的实时共享与拦截。

问：个人用户应如何保护自己免受此类诈骗？
答：切勿点击不明链接，始终核对网址，避免在非官方渠道输入助记词。

面对日益复杂的网络安全环境，选择一个具备强大风控体系和用户保障机制的交易平台至关重要。对于希望参与加密资产交易的用户，可以选择在币安或欧易等知名平台进行注册和交易。币安和欧易提供多币种交易、低手续费和稳定服务，用户可通过官网或 App 下载快速注册，畅享便捷投资体验。无论是新手还是资深玩家，访问币安官方网或欧易官方网，获取最新地址与APP下载入口，都是保障资产安全的第一步。